Bornes de recharge : ce que révèle l’exposition de 720 points OCPP

Une mesure d’exposition, pas la preuve de 720 piratages

Flare indique avoir mené une collecte passive sur des points d’extrémité utilisant OCPP, le protocole qui relie couramment une borne à son système de gestion. L’entreprise a identifié 1 000 points accessibles depuis Internet dans 56 pays. Parmi eux, 720 acceptaient une connexion sans chiffrement de transport, c’est-à-dire sans TLS pour protéger les échanges en transit.

Cette nuance est essentielle. Un point accessible et non chiffré n’est pas automatiquement vulnérable à toutes les attaques, et Flare n’affirme pas avoir tenté de se connecter, de s’authentifier ou de perturber les équipements observés. Le résultat établit qu’une condition favorable à certaines attaques est encore présente : des communications joignables et insuffisamment protégées. Il ne démontre pas qu’un opérateur ou un conducteur précis a été piraté.

Pourquoi le chiffrement compte pour une recharge

OCPP peut transporter des commandes de session, des jetons d’authentification et le chemin vers des services de paiement ou de gestion. Sans chiffrement de transport, ces échanges peuvent être plus faciles à observer ou à modifier si un attaquant parvient à se placer sur le chemin réseau. Le risque dépend ensuite de l’authentification, de l’architecture de l’opérateur et de nombreux autres contrôles que cette étude ne mesure pas.

Flare souligne que la version OCPP 1.6, encore très répandue, ne fournit pas elle-même de chiffrement par clés publiques. Les versions plus récentes ajoutent des mécanismes de sécurité fondés sur des certificats. Pour un exploitant, le sujet n’est donc pas simplement la borne visible sur le parking : c’est aussi le lien entre la borne, le serveur de gestion et les interfaces d’administration.

Un échantillon qui ne décrit pas toutes les bornes françaises

L’étude situe 63 des points observés en France, d’après la géolocalisation de leurs adresses IP. Cela ne signifie pas que 63 bornes françaises sont vulnérables, ni que le nombre de bornes physiques concernées est connu. Un seul système de gestion peut servir plusieurs bornes, et l’adresse IP ne renseigne pas à elle seule sur l’opérateur ou le constructeur.

Flare précise également que sa collecte a démarré à partir de signatures de plateformes connues puis a suivi les indices techniques révélés par celles-ci. Son résultat n’est donc pas un recensement exhaustif du parc mondial ou français. Il décrit un échantillon nettoyé de faux positifs selon la méthode de l’entreprise, utile pour mesurer une exposition, mais insuffisant pour classer un réseau de recharge particulier comme sûr ou compromis.

Des incidents documentés montrent les conséquences possibles

Le constat ne sort pas de nulle part. Flare rappelle plusieurs incidents distincts, notamment une base de données Shell Recharge trouvée sans mot de passe en 2023 par le chercheur Anurag Sen, puis mise hors ligne après intervention d’un journaliste. Selon le récit de Flare, elle contenait notamment des noms, des adresses électroniques, des numéros de téléphone et des emplacements de bornes, y compris des points privés. Cet incident historique ne prouve toutefois pas un lien avec les 1 000 points de l’étude de 2026.

Côté matériel, des chercheurs ont aussi démontré des compromissions de bornes lors de Pwn2Own Automotive 2024. Une démonstration de recherche en environnement encadré ne signifie pas que les bornes utilisées au quotidien sont toutes piratables. Elle confirme en revanche que ces équipements doivent être traités comme des systèmes connectés à maintenir et non comme de simples prises électriques.

Le geste utile pour l’automobiliste : ne pas faire confiance à un QR code collé

L’automobiliste ne peut ni vérifier la configuration OCPP ni chiffrer le réseau d’un opérateur. Son risque le plus concret reste souvent l’arnaque visible : un QR code frauduleux collé sur la borne, qui redirige vers une fausse page de paiement. 01net rapporte ce mécanisme et recommande d’utiliser l’application officielle de l’opérateur plutôt qu’un QR code présent sur l’équipement.

Avant de saisir des données bancaires, ouvrez vous-même l’application officielle ou vérifiez l’adresse affichée dans le navigateur. Une page qui réclame un paiement mais ne correspond pas au service habituel, un QR code ajouté par-dessus une étiquette ou une interface inhabituelle doivent conduire à interrompre la démarche et à signaler l’anomalie à l’opérateur. Ce réflexe ne corrige pas les faiblesses d’infrastructure, mais il évite un piège qui vise directement le conducteur.

Ce que nous ne pouvons pas vérifier

Nous ne pouvons pas vérifier indépendamment les 1 000 points observés par Flare, leur propriétaire, leur nombre de bornes physiques ni leur état actuel. Nous ne pouvons pas non plus déduire de l’absence de chiffrement observée que les données d’un conducteur ont été interceptées, qu’une borne a été prise en main ou qu’un paiement a été détourné.

Nous ne pouvons pas déterminer, à partir des informations publiques consultées, si un réseau français précis utilise OCPP 1.6, une version plus récente, un VPN ou une autre protection compensatoire. L’étude de Flare confirme une exposition technique mesurée sur son échantillon. Elle ne fournit pas une liste de victimes ni la preuve d’une fuite nouvelle chez les utilisateurs de bornes.

Sources : Flare ↗ · 01net ↗

Article rédigé et vérifié par Cyberfaille, avec assistance IA. Un doute, une correction ? écrivez-nous.